Mastodon, un r\u00e9seau social d\u00e9centralis\u00e9 populaire, a publi\u00e9 une mise \u00e0 jour de s\u00e9curit\u00e9 pour corriger les vuln\u00e9rabilit\u00e9s critiques qui pourraient exposer des millions d’utilisateurs \u00e0 des attaques potentielles.<\/p>\n
Mastodon est connu pour son mod\u00e8le f\u00e9d\u00e9r\u00e9, compos\u00e9 de milliers de serveurs s\u00e9par\u00e9s appel\u00e9s “instances”, et il compte plus de 14 millions d’utilisateurs sur plus de 20 000 instances.<\/p>\n
La vuln\u00e9rabilit\u00e9 la plus critique, CVE-2023-36460<\/a>permet aux pirates d’exploiter une faille dans la fonctionnalit\u00e9 des pi\u00e8ces jointes multim\u00e9dias, en cr\u00e9ant et en \u00e9crasant des fichiers \u00e0 n’importe quel endroit auquel le logiciel pourrait acc\u00e9der sur une instance.<\/p>\n Cette vuln\u00e9rabilit\u00e9 logicielle pourrait \u00eatre utilis\u00e9e pour des attaques DoS et d’ex\u00e9cution arbitraire de code \u00e0 distance, ce qui repr\u00e9sente une menace importante pour les utilisateurs et l’\u00e9cosyst\u00e8me Internet au sens large.<\/p>\n Si un attaquant prend le contr\u00f4le de plusieurs instances, il pourrait causer des dommages en demandant aux utilisateurs de t\u00e9l\u00e9charger des applications malveillantes ou m\u00eame de faire tomber toute l’infrastructure Mastodon. Heureusement, il n’y a aucune preuve que cette vuln\u00e9rabilit\u00e9 soit exploit\u00e9e jusqu’\u00e0 pr\u00e9sent.<\/p>\n La faille critique a \u00e9t\u00e9 d\u00e9couverte dans le cadre d’une initiative compl\u00e8te de tests d’intrusion financ\u00e9e par la Fondation Mozilla et men\u00e9e par Cure53.<\/p>\n La r\u00e9cente version du correctif corrig\u00e9 cinq vuln\u00e9rabilit\u00e9s<\/a>, y compris un autre probl\u00e8me critique identifi\u00e9 comme CVE-2023-36459. Cette vuln\u00e9rabilit\u00e9 pourrait permettre aux attaquants d’injecter du code HTML arbitraire dans les cartes de pr\u00e9visualisation oEmbed, en contournant le processus de nettoyage HTML de Mastodon.<\/p>\n Par cons\u00e9quent, cela a introduit un vecteur pour les charges utiles Cross-Site Scripting (XSS) qui pouvaient ex\u00e9cuter du code malveillant lorsque les utilisateurs cliquaient sur des cartes de pr\u00e9visualisation associ\u00e9es \u00e0 des liens malveillants.<\/p>\n \ud83d\udd10 Gestion des acc\u00e8s privil\u00e9gi\u00e9s\u00a0: apprenez \u00e0 relever les principaux d\u00e9fis<\/p>\n <\/a><\/p>\n D\u00e9couvrez diff\u00e9rentes approches pour relever les d\u00e9fis de la gestion des comptes privil\u00e9gi\u00e9s (PAM) et am\u00e9liorer votre strat\u00e9gie de s\u00e9curit\u00e9 des acc\u00e8s privil\u00e9gi\u00e9s.<\/p>\n